Embed Size (px)
Citation preview
9 Settembre 2016
9 Settembre 2016
Autenticazione & AutorizzazioneAutenticazione
CHI SEI? SEI QUELLO CHE DICI DI ESSERE?Il processo di identificazione di un individuo, tipicamente basato sull’immissione di un username e di una password.
AutorizzazioneCOSA PUOI FARE?
Presuppone l’autenticazione!Si può implementare tramite ACL (Access Control List)
9 Settembre 2016
Un po' di storia
9 Settembre 2016
HTTP Basic Authentication• Gestione del browser• No cookie• Non è possibile personalizzare il
form di richiesta• Poco sicura (credenziali trasmesse
in base64)
9 Settembre 2016
Form-Based Authentication• Gestione lato backend• Richiesta sessione (cookie,..)• Poco sicura (credenziali
trasmesse in chiaro)
• Usare TLS/SSL aumenta la sicurezza dei 2 metodi!!!
9 Settembre 2016
OpenID• Nascono tanti servizi diversi di
autenticazione…
• OpenID• Usare un unico accesso per
diversi servizi• Standard per l’autenticazione• No creazione altri account• Uso di un Identity Provider
9 Settembre 2016
OAuth• OpenID non gestisce le
autorizzazioni…
• OAuth• Standard per l’autorizzazione• access_token con validità
temporanea per uno scope• Versione in uso OAuth 2.0
9 Settembre 2016
Come gestire l’autorizzazione
9 Settembre 2016
Gestione proprietariaPRO• Dati in “nostro” possesso (privacy)
CONTRO• Registrazione utenti a carico “nostro”• Altro account da ricordare per l’utente• Sviluppo e manutenzione di una soluzione completa
(sign-in, login, logout, analytics, reset password, etc)
9 Settembre 2016
Gestione tramite Identity Provider (IDP)PRO• Nessun nuovo account per l’utente• Accesso ad altri dati accessori (email, foto profilo, lista amici)• Sviluppo della sola login (registrazione ed altro a carico dell’IDP)
CONTRO• Dati “in mano” agli IDP
9 Settembre 2016
Usare un Identity Provider• Scegliere un IDP • Facebook, Microsoft, Google, Twitter, Azure AD…
• Configurare IDP (per ottenere in genere un app ID ed un secret)
• Implementare l’autenticazione su client• tramite SDK dell’IDP• usando OAuth• usando un servizio PAAS di appoggio (es. Parse, Azure Mobile App)
9 Settembre 2016
Uso di OAuth• Facile da implementare• Richiesta configurazione sull’IDP• Di solito l’autenticazione avviene tramite pagina web• Una volta fatto l’accesso è possibile utilizzare anche i servizi API esposti
dall’IDP (es. richiedere lista amici o dati sull’utenza)
9 Settembre 2016
Flusso OAuth
9 Settembre 2016
Alcuni IDP che supportano OAuth
9 Settembre 2016
Uso di OAuth in Xamarin• Xamarin.Authhttps://components.xamarin.com/view/xamarin.auth
• Auth0https://components.xamarin.com/view/Auth0Client
9 Settembre 2016
DemoXamarin.Auth
9 Settembre 2016
Uso di Azure Mobile Apps• Identity Provider supportati• Facebook• Google• Microsoft • Twitter• Azure AD
• Possibilità di restringere l’accesso delle tabelle solo agli utenti autenticati
9 Settembre 2016
Configurazione di Azure• Creare un nuovo App Service
sul portale• Abilitare l’autenticazione• Configurare uno o più IDP
9 Settembre 2016
Esempio configurazione Facebook
9 Settembre 2016
Sviluppo in Xamarin• Azure Mobile Client SDKhttps://components.xamarin.com/view/azure-mobile-client
• Piattaforme supportate• Xamarin.iOS• Xamarin.Android• Xamarin.Forms
9 Settembre 2016
Vantaggi rispetto ad Xamarin.Auth• Dati IDP su server (nessuna configurazione lato client)• Supporto alla piattaforma Windows• Più aggiornato• Monitoraggio avanzato (Azure)• “Aggancio” con gestione dei dati e dei servizi API di Azure• Possibilità di usare API degli IDP anche lato server (node.js o .NET)
9 Settembre 2016
DemoAzure Mobile Client
9 Settembre 2016
Chiamare API degli IDP con Azure Mobile Client• Il token restituito non è l’access token degli IDP!!!• Va fatta un’implementazione server per poter recuperare l’access token• E’ possibile farla sia in .NET che in node.js• Esempio del recupero access token in node.js
9 Settembre 2016
Esempio chiamata API IDP da node.js
9 Settembre 2016
Gestire le autorizzazioni• A livello di dati
9 Settembre 2016
Gestire le autorizzazioni• A livello di API
9 Settembre 2016
Altre soluzioni…
9 Settembre 2016
Azure Active Directory B2C• Supporta autenticazione tramite IDP• Supporta autenticazione “proprietaria” (utenti senza social)• Possibilità avanzate:• Password reset • 2FA
https://blog.xamarin.com/authenticating-mobile-apps-with-azure-active-directory-b2c/
9 Settembre 2016
Passport
9 Settembre 2016
Passport Features
9 Settembre 2016
Question time
